입증 책임 커진 금융보안 일선, 조직·프로세스 ‘리-아키텍처링’ 속도 낸다
서비스 제한 요소에서 고객 신뢰 뒷받침하는 핵심 경쟁력으로 체질 개선

[보안뉴스 조재호 기자] “자율 보안으로의 전환은 분절된 ‘사일로’(Silo) 운영 체계를 넘어 조직과 프로세스를 전면적으로 ‘리빌딩’(Rebuilding)하는 것에서 시작됩니다. 디지털 금융이 발전할수록 보안을 서비스 기획 단계부터 내재화하는 ‘보안 내재화’(Security by Design)야말로 고객 신뢰를 지키는 기본입니다.”

이형철 KB국민은행 팀장은 금융 보안 패러다임이 사후 규정 준수에서 위험 기반 자율 보안 체계로 이동하는 대전환기를 맞아 현장 실무진의 입증 책임이 과거와 비교할 수 없을 정도로 무거워졌다고 진단했다.


▲이형철 KB국민은행 팀장 [출처: 보안뉴스]

금융 당국이 AI 활용을 위한 망분리 규제 완화 조치를 발표하고, 금융 보안 패러다임이 ‘컴플라이언스 준수’에서 ‘자율 보안’으로 이동한 가운데, KB국민은행은 다계층 방어 아키텍처와 AI 기반 보안 통제로 체질 개선에 나섰다. KB국민은행 정보보호부 보안정책관리팀장이자 KB금융그룹 아키텍처센터 수석을 겸직하는 그는 2026년 하반기 금융보안의 핵심을 AI보안, 제로트러스트, 양자내성암호(PQC)로 전망했다.

금융권 자율보안 패러다임... 핵심은 조직·프로세스의 리빌딩
최근 금융업계는 일방적인 컴플라이언스 준수에서 벗어나 위험 기반의 자율 보안 책임 패러다임으로 진입했다. 은행 현장 실무진이 감당해야 할 입증 책임이 대폭 커진 상황이다. 이 팀장은 이러한 전환기에 ‘개발 초기 보안 참여’(Shift Left), 지속적인 위험 평가, 로그 기반 입증, 사이버 복원력 확보가 선행돼야 한다고 진단했다.

그는 “복잡하고 다양한 IT 컴플라이언스와 규정을 준수하면서, 보안 설계부터 운영 시스템 보호와 안전한 서비스 제공까지 전 영역에 걸쳐 체계적으로 관리돼야 한다”고 강조했다. 이어 “부서마다 분절되고 고립된 ‘사일로’(Silo) 형태의 기존 보안 운영 체계가 결정적으로 통합·자동화까지 진화하려면 조직과 프로세스가 전면적으로 ‘리빌딩’(Rebuilding)되고 ‘리-아키텍처링’(Re-architecturing)돼야 한다”고 말했다.

브레이크 아닌 서비스 지원군... ‘보안 내재화’로 현업 딜레마 해소
최일선에서 포착되는 공격 패턴도 악성코드 은닉에서 정상 사용자로 위장하는 지능형 수법으로 진화했다. 이 팀장은 “공격자가 정상 사용자를 가장하는 방식으로 위협 패턴이 진화하면서 금융권 보안도 ‘차단 중심’에서 ‘지속적인 검증과 이상 행위 탐지 중심’으로 전환되는 추세”라며 “AI와 위협 인텔리전스, 행위 기반 분석을 결합한 통합 관제 체계 구축이 그 어느 때보다 중요해졌다”고 설명했다.

보안의 중요성이 커지면서 신규 서비스 론칭이나 제휴 과정에서 현업 부서와 겪는 갈등도 다양해졌다. 이 팀장은 “보안의 본질적 역할은 서비스를 막는 것이 아니라, 위험을 관리하면서 서비스를 안전하게 제공하고 운영하도록 지원하는 것”이라고 정의했다. 그러면서 “개발이 끝난 뒤 점검하는 사후 방식이 아니라, 기획 단계부터 함께 참여하는 ‘보안 내재화’(Security by Design)는 앞으로 선택이 아닌 필수”라며 “개발부서와 보안부서의 유기적 협업과 함께 시스템으로 평가 가능한 체계가 전제되어야 지속적인 개선이 가능하다”고 말했다.

대규모 트래픽 지키는 ‘청사진’(Blue Print)과 거버넌스 일원화의 힘
KB국민은행은 레거시와 클라우드 인프라가 복잡하게 혼재된 환경을 운영 중이다. 이 팀장은 “지난 2021년부터 디지털 전환에 맞춰 레거시와 클라우드 환경을 함께 고려하는 ‘정보보호관리체계 청사진’(Blue Print)을 수립해 가동 중”이라며 “제로 트러스트 아키텍처 전환과 그룹 차원의 사이버보안센터 통합 운영을 통해 고객이 체감하는 사용성(UX)은 유지하면서도 위험 기반 보안 통제를 강화하고 있다”고 밝혔다.

이어 “이상 거래 탐지 역시 단일 보안 솔루션이 아니라 인증, 접속 정보, 거래 패턴 등 다양한 데이터를 연계·분석하는 다계층 방어 체계를 기반으로 고도화하고 있다”고 설명했다.

거버넌스 체계도 전면 개편해 질적 변화를 이끌고 있다. 정보보호 조직을 준법감시인 산하로 이관하고 통합 보안 루프를 가동했다. 이 팀장은 “전사 리스크 관리 체계에서 운영하는 거버넌스는 보안을 단순한 IT 운영의 일부가 아니라 경영 리스크 관점에서 관리할 수 있는 기반을 마련했다는 점에서 의미가 크다”며 “실무적으로도 보안 조직과 관련 부서 간 협업을 한층 강화하고, 전사적 위험을 보다 체계적으로 검토하는 방향으로 안착됐다”고 말했다.

이어 “공개된 바와 같이 양자내성암호(PQC) 기술에 대해 시범 적용(PoC) 형태로 미래 암호 체계 전환 가능성을 검토하고 있다”며 “향후 제로 트러스트의 지속적인 신원 검증 체계와 연계해 인증과 데이터 보호 수준을 강화하는 것이 핵심 과제이며, 이번 코어뱅킹 현대화 프로젝트 내 보안 아키텍처의 핵심 역시 양자내성암호, 제로 트러스트, AI 에이전트 보안 체계 고도화”라고 덧붙였다.

AI 표준 아키텍처와 ‘사이버 복원력’... 결제망 최우선 복구 철학
망분리 완화로 AI 도입 기대감이 커졌다. 반면, 데이터 유출 우려도 공존한다. 이 팀장은 “생성형 AI 서비스는 데이터 유출과 모델 오남용 위험을 동시에 고려해야 하므로, 개인정보 처리, 데이터 반출 여부, 접근 권한, 외부 API 연계를 중점적으로 검토한다”고 설명했다.

이어 “국민은행은 AI 거버넌스팀과 금융 AI 1·2센터를 운영하며 생성형 AI 플랫폼 기반 표준 아키텍처를 수립했다”며 “개별 에이전트 개발이 아닌 플랫폼 표준 보안 체계를 준수하도록 통제하고, 대형언어모델(LLM) 취약점, AI 에이전트 레드티밍, 가드레일 등 보호 영역 내에서 활용 가능한 환경을 제공한다”고 밝혔다. 방어 측면에서는 “AI를 접목해 대량의 이벤트 분석을 자동화함으로써 보안 담당자가 고위험 사고 대응에 집중할 수 있는 토대를 닦았다”고 덧붙였다.

이 팀장은 “2026년 하반기에는 생성형 AI를 악용한 지능형 공격과 공급망 공격, 그리고 클라우드 환경의 신원관리(IAM) 위험이 금융권의 주요 위협으로 지속될 전망”이라며 “예방·탐지 역량 강화와 함께 프론티어 AI에 대응하기 위해 긴급 사업으로 ‘서비스 종료’(EoS) 우선 대응과 AI 보안 전담 팀원 구성을 추진 중”이라고 설명했다. 이어 “조직 체계 역시 ‘보안을 위한 AI’(AI for Security)와 ‘AI를 위한 보안’(Security for AI) 관점으로 전환하고 있다”고 밝혔다.

이 팀장은 복구의 최우선 순위로 ‘결제망 우선 정상화’ 철학을 제시했다. 그는 “최악의 상황에서는 고객의 금융 거래가 중단되지 않도록 결제와 계좌 거래 등 핵심 서비스를 우선 복구하고 이후 부가 서비스를 단계적으로 정상화하는 것이 중요하다”며 “사고 이후 핵심 기능을 신속히 회복하는 사이버 복원력(Cyber Resilience) 확보를 위해 평상시 백업과 복구 훈련을 지속적으로 점검하는 것이 기본 원칙”이라고 설명했다.

이 팀장은 디지털 금융 대전환기를 맞이한 보안 책임자의 각오를 명확히 밝혔다. 그는 “디지털 금융이 빠르게 발전할수록 보안은 서비스를 제한하는 요소가 아니라 고객의 신뢰를 뒷받침하는 핵심 경쟁력이 되어야 한다”며 “앞으로도 새로운 기술을 적극적으로 도입하는 것과 동시에, 서비스 기획 단계부터 보안을 뿌리내리는 ‘보안 내재화’(Security by Design)를 통해 지속 가능한 리스크 관리 체계를 굳건히 다져나가겠다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>